Заголовок сам по себе кликбейтный. При чем тут "бесплатно кататься"? Правильнее было бы назвать как - то вроде "whoosh плохо заботятся о безопасности своих пользователей". Действительно, у них нет функционала управления сессиями, как на том же озоне, гугловском аккаунте, еще где - то видел. В принципе, автор правильную для whoosh тему поднял - отсутствие функционала управления сессиями можно трактовать как уязвимость и им бы стоило его реализовать